Conformidade documental em Portugal: guia completo 2026

A conformidade documental designa o conjunto de obrigações legais que impõem às empresas a recolha, verificação e conservação de documentos oficiais relativos a clientes, parceiros e transações. Em Portugal, estas obrigações são enquadradas pela Lei n.º 83/2017 (prevenção do branqueamento de capitais), pelo RGPD, e por um corpo crescente de regulamentos europeus: AMLD6, DORA, eIDAS 2, MiCA. O incumprimento destas regras expõe as organizações a coimas que podem atingir vários milhões de euros.

Em 2024, o Banco de Portugal aplicou coimas superiores a 4,5 milhões de euros por deficiências nos procedimentos de verificação documental e de diligência devida, segundo o seu relatório de supervisão comportamental (Banco de Portugal, Relatório de Supervisão 2024).

Este artigo é fornecido a título meramente informativo e não constitui aconselhamento jurídico, financeiro ou regulamentar. Consulte um profissional qualificado para qualquer questão relativa à sua situação específica.

KYC: a base da verificação de identidade do cliente

O KYC (Know Your Customer) obriga todas as entidades sujeitas a verificar a identidade dos seus clientes antes do início da relação de negócios. A Lei n.º 83/2017, que transpõe a Diretiva (UE) 2015/849, define três pilares: identificação, verificação da autenticidade dos documentos e avaliação do risco. A obrigação abrange instituições de crédito, seguradoras, sociedades financeiras, prestadores de serviços sobre criptoativos, notários, advogados e revisores oficiais de contas.

O processo KYC mobiliza em média 3 a 5 ETP num estabelecimento de dimensão intermédia para a gestão manual dos dossiês. A taxa de rejeição de dossiês por não conformidade documental atinge 15 a 25% consoante os setores.

O Regulamento (UE) 2024/1620, que cria a AMLA (Autoridade Europeia de Luta contra o Branqueamento), entrou em vigor a 1 de janeiro de 2026, unificando as práticas KYC à escala da União (Regulamento (UE) 2024/1620). Para um panorama completo das obrigações e etapas do processo, consulte o nosso guia completo do KYC para empresas e a atualização sobre os requisitos KYC 2026.

AMLD6: o novo quadro europeu contra o branqueamento

A sexta diretiva contra o branqueamento de capitais (AMLD6, Diretiva 2024/1640) harmoniza as obrigações de prevenção do branqueamento de capitais e financiamento do terrorismo (PBC/FT) à escala europeia, com um calendário de transposição fixado para julho de 2027. Alarga a lista de entidades obrigadas, reforça as exigências de diligência devida e impõe uma transparência acrescida sobre os beneficiários efetivos.

As principais evoluções incidem sobre três eixos: o alargamento do âmbito das infrações subjacentes ao branqueamento, o endurecimento das sanções penais (até 4 anos de prisão para pessoas singulares) e a harmonização dos registos de beneficiários efetivos. O limiar de detenção que desencadeia a obrigação de declaração mantém-se fixado em 25% do capital ou dos direitos de voto.

O nosso guia de conformidade AMLD6 para entidades obrigadas detalha o calendário e as medidas a antecipar. A questão específica da verificação dos beneficiários efetivos no âmbito da AMLD6 merece atenção particular, com o registo centralizado europeu a dever estar operacional até 2028.

Anti-branqueamento e due diligence: as obrigações de vigilância

A prevenção do branqueamento de capitais e do financiamento do terrorismo (PBC/FT) assenta num dispositivo de vigilância a três níveis: simplificado, normal e reforçado. A Lei n.º 83/2017, no seu artigo 29.º e seguintes, define os casos em que a vigilância reforçada se impõe, nomeadamente para pessoas politicamente expostas (PEP), países de risco elevado e operações complexas ou de montante invulgarmente elevado.

A due diligence documental constitui a vertente operacional desta vigilância. Implica a recolha, verificação e arquivo de documentos comprovativos para cada relação de negócios. Para implementar um processo estruturado, o nosso guia prático anti-money laundering cobre os fundamentos, e a checklist de due diligence para empresas fornece um quadro de execução concreto.

Segundo a Europol, os fluxos de branqueamento identificados na UE representam entre 0,7% e 1,28% do PIB anual europeu, ou seja, 133 a 245 mil milhões de euros (Europol, Financial Crime Threat Assessment 2024).

KYB e onboarding: verificar a identidade das empresas parceiras

O KYB (Know Your Business) designa o processo de verificação documental aplicado a pessoas coletivas. Abrange a autenticidade da certidão permanente do registo comercial, a verificação dos estatutos, a identificação dos representantes legais e dos beneficiários efetivos, e a consulta das listas de sanções internacionais.

Os prazos de onboarding B2B variam de 5 a 20 dias úteis em tratamento manual. Os documentos mais frequentemente em falta ou não conformes são: a certidão permanente expirada (30% das rejeições), a certidão de não dívida à Segurança Social e Finanças caducada (27%) e a declaração de beneficiários efetivos incompleta (22%).

Para estruturar este onboarding, o nosso guia sobre a verificação KYB dos documentos de empresa detalha cada etapa. A obrigação específica de verificar os certificados de conformidade dos fornecedores merece atenção particular: a legislação portuguesa exige a comprovação de situação tributária e contributiva regularizada para contratos com entidades públicas, sem limiar mínimo de valor.

RGPD e documentos de identidade: proteger os dados pessoais

O Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 impõe restrições específicas à recolha e tratamento de documentos de identidade. O artigo 5.º fixa o princípio da minimização: recolher apenas os dados estritamente necessários à finalidade declarada. O artigo 17.º garante o direito ao apagamento. O artigo 32.º exige medidas técnicas de segurança proporcionais ao risco.

Em matéria de verificação documental, o RGPD impõe três arbitragens: a duração da conservação (5 anos após o fim da relação de negócios para as obrigações PBC/FT, ou 7 anos nos termos do artigo 51.º da Lei n.º 83/2017), o perímetro de recolha (sem cópia do Cartão de Cidadão se um número bastar) e a segurança do armazenamento (cifragem, acesso restrito, rastreabilidade).

A CNPD (Comissão Nacional de Proteção de Dados) aplicou coimas significativas em 2024, incluindo processos relativos ao tratamento desproporcionado de documentos de identidade por entidades financeiras e de telecomunicações (CNPD, Deliberações 2024). O nosso artigo sobre a conformidade RGPD dos documentos de identidade propõe um quadro operacional para conciliar obrigações de verificação e proteção de dados.

eIDAS 2: a carteira de identidade digital europeia

O Regulamento eIDAS 2 (UE 2024/1183) impõe aos Estados-Membros que disponibilizem a cada cidadão uma carteira de identidade digital (EUDI Wallet) até 2026-2027. Esta carteira permitirá armazenar e partilhar documentos de identificação, atestados e documentos oficiais em formato digital, com um nível de confiança elevado.

Para as empresas, o eIDAS 2 transforma o processo de verificação documental: em vez de recolher cópias de documentos de identidade, poderão verificar atributos certificados (idade, nacionalidade, NIF) através de apresentações verificáveis. A redução estimada no tempo de processamento situa-se entre 40% e 60%.

Em Portugal, a Chave Móvel Digital e o Cartão de Cidadão eletrónico (com chip NFC) constituem já os alicerces do futuro portefólio europeu. A nossa análise detalhada do eIDAS 2 e da carteira de identidade digital europeia cobre o calendário, as especificações técnicas e as implicações para os processos de onboarding. O funcionamento do Cartão de Cidadão e da Chave Móvel Digital ilustra concretamente os casos de utilização atuais.

DORA e o setor financeiro: resiliência operacional digital

O Regulamento DORA (Digital Operational Resilience Act, UE 2022/2554), aplicável desde 17 de janeiro de 2025, impõe às entidades financeiras um quadro de gestão dos riscos ligados às tecnologias de informação e comunicação (TIC). São abrangidos: instituições de crédito, empresas de investimento, companhias de seguros, gestores de ativos e os seus prestadores TIC críticos.

O DORA cobre cinco pilares: governação dos riscos TIC, gestão e notificação de incidentes, testes de resiliência, gestão do risco ligado a prestadores terceiros e partilha de informações. Para a verificação documental, o impacto é direto: as soluções de automatização utilizadas devem responder às exigências de continuidade, auditabilidade e segurança definidas pelo regulamento.

O DORA prevê coimas que podem atingir 2% do volume de negócios anual mundial para as entidades financeiras em infração (Regulamento (UE) 2022/2554, artigo 50). O nosso guia sobre DORA 2026 e a verificação documental no setor financeiro precisa as medidas a implementar.

Faturação eletrónica: o ponto de viragem de 2026

A reforma da faturação eletrónica na União Europeia entra na sua fase decisiva. Portugal, que já dispõe de obrigação de comunicação de faturas à Autoridade Tributária desde 2013 (via SAF-T), alinha-se com o calendário europeu para a faturação eletrónica estruturada B2B. Desde 1 de janeiro de 2024, todas as faturas emitidas para entidades públicas devem estar em formato eletrónico conforme a norma europeia EN 16931.

Os formatos aceites (Factur-X, UBL, CII) impõem uma estruturação rigorosa dos dados. A transição para a faturação eletrónica B2B obrigatória exige que as empresas portuguesas adaptem os seus sistemas de faturação, com validação automática de conformidade ao SAF-T (PT) e aos formatos europeus.

O nosso artigo sobre a faturação eletrónica 2026 e a validação documental cobre o calendário, os formatos e as etapas de conformidade para empresas portuguesas.

MiCA e criptoativos: a verificação de identidade dos operadores digitais

O Regulamento MiCA (Markets in Crypto-Assets, UE 2023/1114), plenamente aplicável desde 30 de dezembro de 2024, impõe um quadro regulamentar unificado para os prestadores de serviços sobre criptoativos (CASP) na União Europeia. As obrigações KYC aplicadas aos CASP são alinhadas com as do setor financeiro tradicional: identificação do cliente, verificação documental, avaliação do risco de branqueamento.

Em Portugal, o Banco de Portugal era já a autoridade de registo dos prestadores de serviços de ativos virtuais (VASP) desde 2022, no âmbito da Lei n.º 83/2017. O MiCA substitui o regime nacional por uma autorização europeia única. Os CASP existentes dispõem de um período transitório para obter a autorização MiCA.

A nossa análise das obrigações MiCA de verificação de identidade para criptoativos em 2026 detalha as exigências específicas deste setor.

Conformidade no leasing e financiamento

O setor do leasing e do financiamento de equipamentos acumula obrigações provenientes de diversos quadros regulamentares: PBC/FT, RGPD, direito do consumo e regulamentações setoriais da CMVM e do Banco de Portugal. Cada dossiê de financiamento exige a recolha e verificação de 8 a 15 documentos em média, cobrindo a identidade do requerente, a capacidade financeira, a conformidade do equipamento e as garantias associadas.

As taxas de rejeição por não conformidade documental no leasing atingem 20 a 30%, gerando prazos de tratamento adicionais de 5 a 10 dias úteis. Os erros mais frequentes: certidão permanente expirada, IES/declaração de rendimentos incompleta, atestado de seguro não conforme.

O nosso guia sobre a conformidade documental no leasing e financiamento detalha as exigências específicas deste setor.

Direito do trabalho: a verificação do direito a trabalhar

A verificação do direito ao trabalho é uma obrigação legal para todos os empregadores em Portugal. O Código do Trabalho e a Lei n.º 23/2007 (Lei de Imigração) proíbem a contratação de cidadãos estrangeiros não titulares de uma autorização de residência e trabalho válida. O SEF (agora AIMA — Agência para a Integração, Migrações e Asilo) fiscaliza o cumprimento destas obrigações.

Os documentos a controlar variam consoante a nacionalidade do candidato: autorização de residência com permissão de trabalho, Cartão de Cidadão para nacionais, título de residência para cidadãos da UE/EEE, ou visto de trabalho. As coimas por emprego de trabalhador sem título válido podem atingir 96 000 euros por trabalhador, segundo o artigo 198.º-A da Lei n.º 23/2007.

O nosso guia de verificação do direito ao trabalho cobre todos os cenários e as boas práticas de controlo.

Síntese das regulamentações por setor

Como a CheckFile automatiza a conformidade documental

A CheckFile.ai é uma plataforma de verificação documental por inteligência artificial que cobre a totalidade das obrigações detalhadas neste guia. O motor de análise automatiza a verificação de documentos de identificação, certidões permanentes, declarações de não dívida à Segurança Social e Finanças, IES e faturas em menos de 30 segundos por documento.

A integração faz-se via API REST ou conectores ERP/CRM nativos. O painel de conformidade centraliza os alertas (documentos expirados, peças em falta, anomalias detetadas) e gera as pistas de auditoria exigidas pelos reguladores.

As empresas que utilizam a CheckFile reduzem o seu prazo de onboarding em 70% em média e a sua taxa de rejeição de dossiês em 85%. A plataforma cumpre as exigências do RGPD (cifragem, purga automática, direito de acesso) e os padrões DORA (auditabilidade, continuidade, testes de resiliência).

Descubra as nossas ofertas adaptadas ao seu setor ou explore a solução dedicada a instituições bancárias e KYC.

Para saber mais, consulte A Carteira Europeia de Identidade Digital e guia completo de conformidade AML.

FAQ

Quais são as principais obrigações de conformidade documental em Portugal em 2026?

As obrigações abrangem o KYC/KYB (identificação e verificação de clientes e parceiros), a PBC/FT (prevenção do branqueamento de capitais, Lei n.º 83/2017), o RGPD (proteção de dados pessoais, fiscalizado pela CNPD), o DORA (resiliência operacional para o setor financeiro), a faturação eletrónica (SAF-T obrigatório, faturação eletrónica B2G obrigatória) e o eIDAS 2 (identidade digital europeia). Cada quadro impõe exigências específicas de recolha, verificação e conservação de documentos.

Que sanções enfrenta uma empresa que não cumpre as obrigações de verificação documental?

As sanções variam consoante o quadro regulamentar: até 5 milhões de euros ou 10% do volume de negócios para falhas KYC (Banco de Portugal), 20 milhões de euros ou 4% do VN mundial para infrações RGPD (CNPD), e sanções penais até 4 anos de prisão para infrações ligadas ao branqueamento (AMLD6). O Banco de Portugal e a CNPD publicam as decisões de sanção, acrescentando um risco reputacional significativo.

Como conciliar obrigações de verificação documental e proteção de dados RGPD?

O princípio da minimização (artigo 5.º do RGPD) impõe recolher apenas os dados estritamente necessários. Na prática: privilegiar a verificação de atributos (idade, validade de um título) em vez da cópia integral de documentos, aplicar os prazos legais de conservação (7 anos para a PBC/FT em Portugal), cifrar os dados em repouso e em trânsito, e implementar direitos de acesso granulares. Soluções de verificação automatizada como a CheckFile permitem verificar sem armazenar as imagens dos documentos.

Como automatizar a conformidade documental sem perder o controlo humano?

A automatização por IA trata os casos normalizados (80% dos dossiês) em poucos segundos, enquanto os casos complexos ou de risco elevado são encaminhados para um analista humano com um dossiê pré-instruído. Este modelo híbrido mantém uma taxa de conformidade superior a 99% e reduz o tempo de tratamento em 70%. O painel de conformidade fornece a rastreabilidade completa exigida pelos reguladores.

A carteira de identidade digital eIDAS 2 vai substituir a verificação documental clássica?

Não de imediato. O eIDAS 2 prevê a implantação progressiva da carteira EUDI até 2026-2027, mas a coexistência com os documentos físicos durará vários anos. Em Portugal, a Chave Móvel Digital e o Cartão de Cidadão eletrónico prefiguram esta evolução. As empresas devem preparar-se para um modelo híbrido: aceitar apresentações verificáveis da carteira digital e manter a capacidade de verificar documentos tradicionais. A CheckFile suporta ambos os modos de verificação.